การละเมิดครั้งใหญ่ในซัพพลายเชนด้านสุขภาพ

McKesson หนึ่งในบริษัทซัพพลายเชนทางการแพทย์ที่ใหญ่ที่สุดในสหรัฐอเมริกา ได้ยืนยันการละเมิดข้อมูลซึ่งมีรายงานว่าเปิดเผยบันทึกผู้ป่วย 284 ล้านรายการ ขนาดของเหตุการณ์นี้จัดอยู่ในกลุ่มการละเมิดข้อมูลด้านสุขภาพที่สำคัญที่สุดที่เปิดเผยในปีนี้ และเน้นให้เห็นว่าข้อมูลส่วนบุคคลและข้อมูลทางการแพทย์ที่มีความละเอียดอ่อนจำนวนมหาศาลไหลเวียนผ่านบริษัทที่สนับสนุนโรงพยาบาลและร้านขายยาเบื้องหลังมากเพียงใด

ตามรายงานเกี่ยวกับเหตุการณ์นี้ กลุ่มภัยคุกคามที่รู้จักในชื่อ ShinyHunters อ้างความรับผิดชอบต่อการละเมิด โดยอ้างว่าได้ขโมยข้อมูลประมาณ 1 เทระไบต์ซึ่งประกอบด้วยข้อมูลผู้ป่วย 284 ล้านแถวจากสภาพแวดล้อมข้อมูลคลาวด์ Snowflake ของ McKesson กลุ่มดังกล่าวมีรายงานว่าข้อเรียกร้องเงินประมาณ 55 ล้านดอลลาร์จาก McKesson ที่เกี่ยวข้องกับข้อมูลที่ถูกขโมย McKesson เปิดเผยเหตุการณ์ด้านความมั่นคงทางไซเบอร์ในแบบฟอร์ม 8-K ที่ยื่นต่อคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ ซึ่งเป็นขั้นตอนที่บริษัทมหาชนต้องปฏิบัติเมื่อเผชิญเหตุการณ์ด้านความมั่นคงที่มีนัยสำคัญ

McKesson จัดจำหน่ายยาและผลิตภัณฑ์ทางการแพทย์ให้กับโรงพยาบาลทั่วประเทศในสัดส่วนที่มาก ซึ่งหมายความว่าข้อมูลที่ถูกเปิดเผยมีแนวโน้มส่งผลกระทบต่อผู้ป่วยในวงกว้างอย่างมหาศาลที่อาจไม่เคยมีปฏิสัมพันธ์โดยตรงกับบริษัทเอง นั่นเป็นหนึ่งในแง่มุมที่น่ากังวลที่สุดของการละเมิดในซัพพลายเชน: ผู้ป่วยมักไม่มีความสัมพันธ์โดยตรงกับองค์กรที่ถูกละเมิด แต่ข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) และรายละเอียดส่วนบุคคลของพวกเขาก็ยังอาจรั่วไหลได้

ทำไมผู้ขายในซัพพลายเชนจึงเป็นเป้าหมายที่มีมูลค่าสูง

บริษัทซัพพลายเชนด้านสุขภาพอย่าง McKesson ตั้งอยู่ที่จุดตัดของข้อมูลที่มีความละเอียดอ่อนจำนวนมหาศาลและระบบที่ซับซ้อนและเชื่อมโยงกัน พวกเขาประมวลผลบันทึกการสั่งจ่ายยา ข้อมูลระบุตัวตนผู้ป่วย และข้อมูลสุขภาพที่ได้รับการคุ้มครองอื่น ๆ เป็นส่วนหนึ่งของการดำเนินธุรกิจตามปกติกับโรงพยาบาล คลินิก และร้านขายยาทั่วประเทศ

การละเมิดนี้สอดคล้องกับรูปแบบที่กว้างขึ้นซึ่งภาคสุขภาพต้องต่อสู้ในปีที่ผ่านมา ผู้โจมตีตระหนักมากขึ้นว่าผู้ขายบุคคลที่สามและผู้ให้บริการโครงสร้างพื้นฐาน ไม่ใช่แค่โรงพยาบาลเอง สามารถเป็นจุดล้มเหลวจุดเดียวที่เปิดเผยข้อมูลของผู้ป่วยหลายล้านคนจากผู้ให้บริการดูแลหลายรายที่แตกต่างกัน พลวัตที่คล้ายกันเกิดขึ้นในการโจมตีด้วยแรนซัมแวร์ ChipSoft ที่เปิดเผยข้อมูลผู้ป่วยชาวดัตช์ ซึ่งการถูกบุกรุกของผู้ให้บริการซอฟต์แวร์รายเดียวส่งผลกระทบเป็นวงกว้างต่อผู้ป่วยทั่วทั้งระบบสุขภาพ เมื่อผู้ขายที่เกี่ยวข้องกับบันทึกผู้ป่วยหลายล้านรายการถูกบุกรุก ผลที่ตามมาขยายออกไปไกลเกินกว่าฐานลูกค้าของบริษัทนั้นเพียงแห่งเดียว

การใช้แพลตฟอร์มข้อมูลคลาวด์อย่าง Snowflake ในเหตุการณ์นี้ก็เป็นสิ่งที่น่าสังเกตเช่นกัน เมื่อองค์กรด้านสุขภาพและผู้ขายของพวกเขาพึ่งพาคลังข้อมูลบนคลาวด์มากขึ้นในการจัดการชุดข้อมูลขนาดใหญ่ การรักษาความปลอดภัยของสภาพแวดล้อมเหล่านั้น รวมถึงการควบคุมการเข้าถึง การตรวจสอบ และการจัดการข้อมูลรับรอง กลายเป็นเรื่องสำคัญพอ ๆ กับการรักษาความปลอดภัยของระบบภายในองค์กรแบบดั้งเดิม

ต้นทุนของมนุษย์เบื้องหลังตัวเลข

เป็นเรื่องง่ายที่ตัวเลขอย่าง 284 ล้านบันทึกจะรู้สึกเป็นนามธรรม แต่แต่ละแถวในชุดข้อมูลที่ถูกขโมยนั้นมีแนวโน้มแทนประวัติการสั่งจ่ายยา รายละเอียดทางการแพทย์ หรือข้อมูลระบุตัวตนของบุคคลจริง ข้อมูลสุขภาพที่ได้รับการคุ้มครองมีมูลค่าสูงเป็นพิเศษสำหรับอาชญากร เพราะต่างจากหมายเลขบัตรเครดิต มันไม่สามารถยกเลิกและออกใหม่ได้ง่าย ๆ ข้อมูลทางการแพทย์ที่ถูกขโมยสามารถใช้สำหรับการฉ้อโกงประกันภัย แคมเปญฟิชชิ่งแบบเจาะจง การโจรกรรมidentity และความพยายามกรรโชกต่อบุคคลที่ได้รับผลกระทบ

การละเมิดด้านสุขภาพยังมีความเสี่ยงด้านการดำเนินงานนอกเหนือจากการเปิดเผยข้อมูล การอภิปรายในงานอุตสาหกรรมที่มุ่งเน้นความมั่นคงทางไซเบอร์ของโรงพยาบาลได้เน้นว่าเมื่อแรนซัมแวร์หรือการละเมิดครั้งใหญ่โจมตีองค์กรด้านสุขภาพ ผลกระทบสามารถขยายไปถึงการดูแลผู้ป่วยเอง ไม่ใช่แค่ความเป็นส่วนตัวของข้อมูล ตามที่รายงานในการประชุมสุดยอด Black Hat และ HIMSS ที่มุ่งเน้นด้านสุขภาพ แม้ว่าเหตุการณ์ McKesson ส่วนใหญ่จะเป็นเหตุการณ์เปิดเผยข้อมูลมากกว่าการหยุดชะงักของการดูแล แต่ก็สะท้อนถึงช่องโหว่พื้นฐานเดียวกัน: ซัพพลายเชนด้านสุขภาพจะปลอดภัยเท่ากับห่วงโซ่ผู้ขายที่อ่อนแอที่สุด

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเคยได้รับใบสั่งยาหรือผลิตภัณฑ์ทางการแพทย์ผ่านผู้ให้บริการที่ทำงานกับ McKesson และด้วยขนาดของบริษัท นั่นอาจรวมถึงผู้ป่วยสหรัฐฯ ในสัดส่วนที่มาก ควรถือว่าการละเมิดนี้เป็นเหตุผลให้ระมัดระวังมากขึ้น แม้ก่อนที่การแจ้งเตือนอย่างเป็นทางการจะมาถึง คอยจับตาดู:

  • ใบแจ้งสิทธิประโยชน์ (EOB) จากบริษัทประกันสุขภาพของคุณสำหรับบริการหรือใบสั่งยาที่คุณไม่รู้จัก
  • สาย電話 ข้อความ หรืออีเมลที่ไม่คาดคิดซึ่งอ้างถึงประวัติการรักษาหรือใบสั่งยาของคุณ ซึ่งอาจเป็นความพยายามฟิชชิ่งโดยใช้ข้อมูลที่ถูกขโมย
  • การแจ้งเตือนจาก McKesson หรือผู้ให้บริการสุขภาพของคุณเกี่ยวกับการละเมิด และข้อเสนอใด ๆ เกี่ยวกับการติดตามเครดิตหรือบริการป้องกันidentity
  • รายงานเครดิตของคุณ เนื่องจาก PHI มักจับคู่กับรายละเอียดระบุตัวตนอื่น ๆ ที่ใช้สำหรับการโจรกรรมidentityได้

McKesson ยังไม่ยืนยันขอบเขตหรือความถูกต้องเต็มรูปแบบของข้อเรียกร้องของ ShinyHunters และรายละเอียดอาจเปลี่ยนแปลงเมื่อการสอบสวนดำเนินต่อไป อย่างไรก็ตาม ด้วยปริมาณบันทึกที่เกี่ยวข้องตามรายงาน ผู้ป่วยที่ได้รับผลกระทบจากการละเมิดข้อมูล McKesson นี้ควรสันนิษฐานว่ามีการเปิดเผยข้อมูลส่วนบุคคลบางส่วนจนกว่าจะมีคำแนะนำที่ชัดเจนมากขึ้น

ประเด็นสำคัญ

การละเมิดข้อมูล McKesson เป็นเครื่องเตือนใจว่าความเสี่ยงด้านความเป็นส่วนตัวในสุขภาพขยายออกไปไกลเกินกำแพงของโรงพยาบาลและคลินิก ไปสู่ผู้ขายและแพลตฟอร์มคลาวด์ที่จัดการข้อมูลผู้ป่วยอย่างเงียบ ๆ ในระดับขนาดใหญ่ ตรวจสอบการแจ้งเตือนการละเมิดที่คุณได้รับอย่างรอบคอบ ติดตามบัญชีทางการแพทย์และการเงินของคุณสำหรับกิจกรรมที่ผิดปกติ และพิจารณาอายัดเครดิตหากคุณสงสัยว่าข้อมูลของคุณเป็นส่วนหนึ่งของการเปิดเผยนี้ เมื่อการสอบสวนเหตุการณ์นี้ดำเนินต่อไป การติดตามข้อมูลผ่านการอัปเดตที่ตรวจสอบได้จาก McKesson และหน่วยงานกำกับดูแลยังคงเป็นวิธีที่ดีที่สุดในการปกป้องตัวเองหลังเกิดเหตุ